您正在強化 Windows Server 2022 管理節點。WinRM (HTTP/HTTPS) 必須僅接受來自兩個管理子網路 (10.10.20.0/24 和 10.10.30.0/24) 的連線，並且僅在流量使用 Kerberos 透過 IPsec 進行驗證時才接受。不允許在 Public 設定檔上進行 WinRM 存取。您應該在 Windows Defender Firewall with Advanced Security 中建立哪兩個設定？

正確答案是建立一個連線安全性規則 (Server-to-Subnet)，要求針對 10.10.20.0/24 和 10.10.30.0/24 使用 Kerberos 進行入站和出站驗證，以及一個針對 TCP 5985 和 5986 的入站防火牆規則，僅限於 Domain 和 Private 設定檔，並範圍限定為遠端位址 10.10.20.0/24 和 10.10.30.0/24。前者確保流量透過 IPsec 進行 Kerberos 驗證，滿足題目的安全要求。後者則限制了 WinRM 服務的存取，僅允許來自指定子網路的連線，並排除 Public 設定檔，符合題目中不允許在 Public 設定檔上進行 WinRM 存取的要求。 驗證豁免規則會繞過 IPsec 協商，與題目要求使用 Kerberos 透過 IPsec 進行驗證相悖。出站防火牆規則與入站連線的限制無關。類型為 Tunnel 的連線安全性規則通常用於站台到站台的 VPN，且題目明確要求 Kerberos 驗證而非憑證。